Volatility 工具分析

0x01 Volatility 介绍

volatility 是一款内存取证和分析工具，可以对 Procdump 等工具 dump 出来的内存进行分析，并提取内存中的文件。该工具支持 Windows 和 Linux，Kali 下面默认已经安装。

0x02 安装过程

利用Volatility进行Windows内存取证分析(一)：初体验

0x03 概念

0x03a Vtypes

Vtypes 是 Volatility 框架中数据结构定义以及解析的语言,大部分操作系统底层都是使用 C 语言编写的,其中大量使用数据结构来组织和管理相关的变量以及属性。

因为 Volatility 是用 Python 语言编写的,所以我们需要一种方式在Python 源文件中表示 C 语言的数据结构。

VTypes 正是用于实现这一点的。

eg：

C

struct process{
   
int pid;
int parent_pid;